(1)

Kwalifikowani dostawcy usług zaufania odgrywają kluczową rolę w zapewnianiu bezpiecznych i niezawodnych cyfrowych interakcji poprzez świadczenie kwalifikowanych usług zaufania zgodnie z rozporządzeniem (UE) nr 910/2014.

(2)

Domniemanie zgodności określone w art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 powinno mieć zastosowanie wyłącznie w przypadku, gdy kwalifikowane usługi zaufania spełniają wymogi, normy referencyjne i specyfikacje określone w niniejszym rozporządzeniu. Przedmiotowe wymogi, normy referencyjne i specyfikacje powinny odzwierciedlać utrwalone praktyki i być powszechnie uznawane w odpowiednich sektorach. Normy referencyjne należy dostosować tak, aby obejmowały dodatkowe środki kontroli zapewniające bezpieczeństwo i wiarygodność kwalifikowanej usługi zaufania oraz kwalifikowanych dostawców usług zaufania świadczących tę usługę.

(3)

Jeżeli dostawca usług zaufania spełnia wymogi, normy referencyjne i specyfikacje określone w niniejszym rozporządzeniu, organy nadzoru powinny domniemywać zgodność z odpowiednimi wymogami rozporządzenia (UE) nr 910/2014 i należycie uwzględniać takie domniemanie w odniesieniu do przyznania lub potwierdzenia kwalifikowanego statusu usługi zaufania. Kwalifikowany dostawca usług zaufania może jednak nadal polegać na innych praktykach w celu wykazania zgodności z wymogami rozporządzenia (UE) nr 910/2014.

(4)

Komisja regularnie przeprowadza ocenę nowych technologii, praktyk, norm lub specyfikacji technicznych. Zgodnie z motywem 75 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1183 (2) Komisja powinna, w razie potrzeby, poddawać niniejsze rozporządzenie wykonawcze przeglądowi i aktualizacji, aby zachować jego aktualność względem globalnych zmian, nowych technologii, praktyk, norm lub specyfikacji technicznych oraz przestrzegać najlepszych praktyk na rynku wewnętrznym.

(5)

Kwalifikowani dostawcy usług zaufania mają powiadamiać organy nadzoru przed wprowadzeniem jakichkolwiek zmian w świadczeniu przez nich kwalifikowanych usług zaufania. Powiadomienia te powinny umożliwić organom nadzoru wymaganie od kwalifikowanych dostawców usług zaufania wprowadzenia odpowiednich środków łagodzących potencjalne negatywne skutki zgłoszonych zmian w odniesieniu do spełnienia wymogów rozporządzenia (UE) nr 910/2014 oraz w odniesieniu do przyznawania statusu kwalifikowanego dostawcy. Aby zapewnić kwalifikowanym dostawcom usług zaufania jasność i wytyczne dotyczące zmian, które należy zgłaszać organom nadzoru, niniejsze rozporządzenie powinno zawierać niewyczerpujący wykaz takich zmian.

(6)

Niezależnie od art. 21 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (3) w art. 24 ust. 2 rozporządzenia (UE) nr 910/2014 przewidziano dodatkowe wymogi w odniesieniu do procedur zarządzania ryzykiem prawnym, biznesowym, operacyjnym oraz innymi bezpośrednimi lub pośrednimi ryzykami dla świadczenia kwalifikowanej usługi zaufania, które nie są objęte rozporządzeniem wykonawczym Komisji (UE) 2024/2690 (4). W celu zapewnienia, aby kwalifikowani dostawcy usług zaufania oceniali i dokumentowali to ryzyko dla wiarygodności swoich kwalifikowanych usług zaufania w sposób uporządkowany i systematyczny, powinni oni wdrożyć ramy zarządzania ryzykiem dostosowane do świadczonych przez nich kwalifikowanych usług zaufania. Aby zapewnić spójność polityk zarządzania ryzykiem wdrażanych przez niekwalifikowanych dostawców usług zaufania i kwalifikowanych dostawców usług zaufania, ramy te powinny być zgodne z wymogami określonymi w rozporządzeniu wykonawczym Komisji (UE) 2025/2160 (5).

(7)

Ciągłość kwalifikowanych usług zaufania lub odpowiednie zakończenie świadczenia kwalifikowanych usług zaufania, w przypadku gdy nie można zapewnić ich ciągłości, jest kluczowym elementem wspierającym wiarygodność kwalifikowanych usług zaufania. Wystarczająco szczegółowe plany zakończenia działalności są ważnym narzędziem zapewniającym abonentom i stronom ufającym możliwość polegania na produktach kwalifikowanych usług zaufania w przypadku zakończenia świadczenia kwalifikowanych usług zaufania. Plany zakończenia działalności powinny obejmować zarówno przewidywane zakończenie świadczenia kwalifikowanej usługi zaufania, takie jak sprzedaż kwalifikowanej usługi zaufania innemu kwalifikowanemu dostawcy usług zaufania, jak i nieprzewidziane zakończenie działalności, takie jak upadłość lub inne przypadki niewypłacalności. Plany zakończenia działalności powinny zawierać odpowiednie postanowienia zapewniające możliwość zarządzania skutkami zakończenia działalności bez negatywnego wpływu na ważność lub wartość produktów uzyskanych dzięki kwalifikowanej usłudze zaufania przed jej zakończeniem. Ponadto plany zakończenia działalności powinny zapewniać, aby nie można było uzyskać żadnych nowych produktów z zakończonej kwalifikowanej usługi zaufania, która nie spełnia już odpowiednich wymogów dotyczących kwalifikowanych usług zaufania lub kwalifikowanych dostawców usług zaufania określonych w rozporządzeniu (UE) nr 910/2014. Kwalifikowani dostawcy usług zaufania powinni aktualizować plany zakończenia działalności i analizować wpływ wszelkich zmian dotyczących kwalifikowanego dostawcy usług zaufania lub świadczonych przez niego kwalifikowanych usług zaufania, takich jak zmiany nazwy, połączenia, przejęcia, upadłości, przejęcie zarządu, zarządu komisaryczny lub zmiany techniczne, na plany zakończenia działalności przed wdrożeniem tych zmian.

(8)

Komisja przyjęła rozporządzenia wykonawcze zawierające odniesienia do norm i specyfikacji technicznych mających zastosowanie do kwalifikowanych usług zaufania. W rozporządzeniach wykonawczych, o których mowa w załączniku do niniejszego rozporządzenia, określono, w jaki sposób wymogi dotyczące kwalifikowanych dostawców usług zaufania określone w art. 24 ust. 2 rozporządzenia (UE) nr 910/2014 mają być stosowane i interpretowane z uwzględnieniem szczególnych aspektów tych kwalifikowanych usług zaufania. Aby domniemanie zgodności określone w art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 miało zastosowanie do kwalifikowanego dostawcy usług, wszystkie wymogi, o których mowa w załączniku, należy wdrożyć w sposób mający zastosowanie do konkretnej kwalifikowanej usługi zaufania.

(9)

Do czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia mają zastosowanie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (6) oraz – w stosownych przypadkach – dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady (7).

(10)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (8) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 21 października 2025 r. (9).

(11)

Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na podstawie art. 48 rozporządzenia (UE) nr 910/2014,

1.

W odniesieniu do kwalifikowanych usług zaufania w zakresie wydawania kwalifikowanych certyfikatów podpisów elektronicznych: klauzule 5.2, 6.1, 6.4, 6.5, 6.8 i 6.9 normy przywołanej i dostosowanej w pkt 1 załącznika I do rozporządzenia wykonawczego Komisji (UE) 2025/1943 (1).

2.

W odniesieniu do kwalifikowanych usług zaufania w zakresie wydawania kwalifikowanych certyfikatów pieczęci elektronicznych: klauzule 5.2, 6.1, 6.4, 6.5, 6.8 i 6.9 normy przywołanej i dostosowanej w pkt 1 załącznika II do rozporządzenia wykonawczego (UE) 2025/1943.

3.

W odniesieniu do kwalifikowanych usług zaufania w zakresie wydawania kwalifikowanych certyfikatów uwierzytelniania witryn internetowych: klauzule 5.2, 6.1, 6.4, 6.5, 6.8 i 6.9 normy przywołanej i dostosowanej w załączniku do rozporządzenia wykonawczego (UE) 2025/1943.

4.

W odniesieniu do kwalifikowanych usług walidacji kwalifikowanych podpisów elektronicznych: klauzule 5, 6 i 7 normy przywołanej i dostosowanej w pkt 1 załącznika do rozporządzenia wykonawczego Komisji (UE) 2025/1942 (2).

5.

W odniesieniu do kwalifikowanych usług walidacji kwalifikowanych pieczęci elektronicznych: klauzule 5, 6 i 7 normy przywołanej i dostosowanej w pkt 1 załącznika do rozporządzenia wykonawczego Komisji (UE) 2025/1942.

6.

W odniesieniu do kwalifikowanych usług konserwacji kwalifikowanych podpisów elektronicznych: klauzule 5, 6 i 7 normy przywołanej i dostosowanej w pkt 1 załącznika do rozporządzenia wykonawczego Komisji (UE) 2025/1946 (3).

7.

W odniesieniu do kwalifikowanych usług konserwacji kwalifikowanych pieczęci elektronicznych: klauzule 5, 6 i 7 normy przywołanej i dostosowanej w pkt 1 załącznika do rozporządzenia wykonawczego (UE) 2025/1946.

8.

W odniesieniu do kwalifikowanych usług zaufania w zakresie tworzenia kwalifikowanych elektronicznych znaczników czasu: klauzule 5, 6 i 7 normy przywołanej i dostosowanej w pkt 1 załącznika do rozporządzenia wykonawczego Komisji (UE) 2025/1929 (4).

9.

W odniesieniu do kwalifikowanych usług rejestrowanego doręczenia elektronicznego: klauzule 4, 6 i 7 normy przywołanej i dostosowanej w załączniku I do rozporządzenia wykonawczego Komisji (UE) 2025/1944 (5).

10.

W odniesieniu do kwalifikowanych usług zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość: klauzule 5, 6.1, 6.4, 6.5, 6.7 i 6.8 normy przywołanej i dostosowanej w załączniku do rozporządzenia wykonawczego Komisji (UE) 2025/1567 (6).

11.

W odniesieniu do kwalifikowanych usług zarządzania kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość: klauzule 5, 6.1, 6.4, 6.5, 6.7 i 6.8 normy przywołanej i dostosowanej w załączniku do rozporządzenia wykonawczego Komisji (UE) 2025/1567.

12.

W odniesieniu do kwalifikowanych usług archiwizacji elektronicznej: klauzule 6 i 7 normy przywołanej i dostosowanej w załączniku do rozporządzenia wykonawczego Komisji (UE) 2025/2532 (7).

13.

W odniesieniu do kwalifikowanych usług zaufania do celów wydawania kwalifikowanego elektronicznego poświadczenia atrybutów: norma przywołana w załączniku I do rozporządzenia wykonawczego Komisji (UE) 2025/1569 (8).

14.

W odniesieniu do kwalifikowanych usług zaufania w zakresie rejestrowania danych elektronicznych w kwalifikowanym rejestrze elektronicznym: norma wymieniona i dostosowana w pkt 3 lit. a) załącznika do rozporządzenia wykonawczego Komisji (UE) 2025/2531 (9).